Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden von XMS Rechnung (nachfolgend „Verantwortlicher“) und der XMS Immobilien UG (haftungsbeschränkt), Ballindamm 3, 20095 Hamburg (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag ist Bestandteil der AGB und wird mit der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Software XMS Rechnung zur Verfügung. Dabei verarbeitet er personenbezogene Daten, die der Verantwortliche in die Software eingibt, ausschließlich in dessen Auftrag.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags einschließlich der Zeit bis zur vollständigen Löschung der Daten.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art und Zweck

Speicherung, Anzeige, Verarbeitung und Übermittlung von Daten zur Erstellung, Archivierung und zum Versand von Angeboten, Rechnungen, Stornorechnungen und Zahlungserinnerungen sowie zur Erstellung von Exporten für die Buchhaltung (DATEV).

Arten personenbezogener Daten

• Stammdaten der Kunden des Verantwortlichen (Name, Firma, Ansprechpartner, Anschrift)
• Kontaktdaten (E-Mail-Adresse, Telefonnummer)
• Steuerliche Angaben (USt-IdNr., Kundennummer)
• Vertrags- und Abrechnungsdaten (Leistungen, Beträge, Zahlungen, Mahnstufen)
• Inhalte von E-Mails, die über die Software versendet werden

Kategorien betroffener Personen

• Kunden und Interessenten des Verantwortlichen sowie deren Ansprechpartner
• Nutzer des Kontos des Verantwortlichen

§ 3 Weisungsbefugnis

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Funktionen der Software durch den Verantwortlichen. Weitere Weisungen erfolgen in Textform.
2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.
3. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet.

§ 4 Pflichten des Auftragsverarbeiters

1. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
2. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
3. Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO.
4. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
5. Er stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen. Überprüfungen sind rechtzeitig (in der Regel mindestens 14 Tage) vorher anzukündigen und erfolgen vorrangig durch Vorlage geeigneter Nachweise und Auskünfte.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.
2. Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der Auftragsverarbeiter mindestens vier Wochen im Voraus per E-Mail. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine Einigung nicht möglich, können beide Parteien den Nutzungsvertrag außerordentlich kündigen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. EU-US Data Privacy Framework oder EU-Standardvertragsklauseln).

§ 6 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags kann der Verantwortliche seine Daten weiterhin über die Exportfunktion abrufen. Der Auftragsverarbeiter löscht die Daten auf Verlangen des Verantwortlichen, spätestens nach Ablauf der gesetzlichen Aufbewahrungsfristen, soweit keine Pflicht zur weiteren Speicherung besteht. Die Löschung wird auf Anfrage bestätigt.

§ 7 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB. Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz den AGB vor. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Übertragung aller Daten ausschließlich verschlüsselt (TLS/HTTPS); Passwörter werden nur als Hash gespeichert.
• Mandantentrennung: Zugriffsbeschränkung auf Datenbankebene (Row Level Security) – jeder Kunde kann ausschließlich seine eigenen Daten lesen und ändern.
• Zugangskontrolle: Anmeldung nur mit persönlichem Konto; Zugang zu den Verwaltungsoberflächen der Dienstleister ist passwortgeschützt und auf die Geschäftsführung beschränkt; geheime Schlüssel werden nicht im Programmcode, sondern ausschließlich serverseitig gespeichert.
• Integrität: Ausgestellte Dokumente werden technisch gegen Änderung gesperrt (GoBD); Änderungen und Versandvorgänge werden protokolliert.
• Verfügbarkeit: Betrieb in professionellen Rechenzentren in der EU (Frankfurt am Main) mit Datensicherungen durch den Hosting-Dienstleister; Exportmöglichkeit für den Kunden jederzeit.
• Auftragskontrolle: Einsatz ausschließlich vertraglich gebundener Unterauftragsverarbeiter (Anlage 2).
• Datensparsamkeit: Kein Einsatz von Tracking- oder Werbediensten; keine Nutzung der Daten für eigene Zwecke.

Anlage 2 – Unterauftragsverarbeiter

Stand: September 2026